I-recover ang mga tunnel ng WireGuard mula sa isang patay na PC na Windows

Namamatay ang isang laptop na may tatlong naka-configure na tunnel ng WireGuard, at ang mga configuration file ay nasa disk pa rin. Ang pagkopya sa kanila sa isang kapalit na makina ay gumagawa ng serbisyo na nagsisimula at pagkatapos ay tumatangging bumangon. Ang mga file ay protektado ng key na pag-aari ng account at makinang gumawa sa kanila, kaya naglalakbay ang mga byte ngunit ang kakayahang basahin ang mga ito ay hindi. Ang gabay sa ibaba ay mula sa paghahanap ng file hanggang sa opsyon na talagang nagbabalik ng serbisyo.

Kung saan nakatira ngayon ang tunnel file

Nagbago ang imbakan sa pagitan ng mga release. Ang mas lumang mga install ay nagtago ng mga profile sa lokal na data ng mga application ng system profile sa loob ng folder na WireGuard\Configurations, at ang mga kasalukuyang build ay gumagamit ng data directory sa loob ng puno ng mga program file. Ang bawat tunnel ay isang file na may dobleng extension na nagpapangalan sa proteksyon:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

Ang suffix na .dpapi ay hindi dekorasyon. Ang file ay isang protektadong blob, at ang serbisyo ay dinisenyo upang ubusin ito nang eksakto sa ganoong anyo. Ang sinusuportahang paraan upang mag-install ng tunnel mula rito ay isang elevated na tawag na tumuturo sa blob:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

Ang command na iyon ay nagtagumpay lamang sa kontekstong makakabukas ng blob. Nag-i-install ito ng serbisyo; hindi ito nagde-decrypt ng anuman para sa iyo.

Bakit hindi bumubukas ang blob sa ibang lugar

Ang proteksyon ay kumukuha ng key nito mula sa mga credential sa pag-log on ng user at, depende sa piniling saklaw, mula sa makina. Sinasabi ng dokumentasyon ng Microsoft para sa tawag sa proteksyon na ang default ay pag-aari ng user at makinang nag-encrypt nito, at ang opsyon para sa buong makina ay nagbabago kung sino ang makakabukas nito. Sa dalawang kaso ang key ay naninirahan sa credential material ng operating system, hindi sa loob ng file. Ang ciphertext ay naipapasa; ang key ay hindi.

Ang pagkuha ng pagmamay-ari ng folder ay nagbabago ng ACL at wala nang iba. Ang pag-mount ng lumang disk sa isang enclosure at pagkopya ng blob sa bagong PC ay nag-iiwan sa iyo ng ciphertext na ang key ay hindi kailanman nakopya. Ang pagkabigo ay cryptographic, at walang dami ng muling pag-install ng serbisyo ang makakabago nito. Ang bagong makina ay walang master key para sa account na iyon, at ang lumang key store ay hindi naglalakbay kasama ng file.

Ang mga produktong nagtatago ng settings sa isang malabong file ay ginagawang malinaw ang kaibahan. Ang configuration na obfuscated lamang ay nagiging mababasa kapag nakita mo ang flag na nag-o-off sa obfuscation; ang protektadong blob ay nananatiling sarado kung walang key. Ang pagkalito sa dalawa ay nagtutulak sa mga tao na maghanap ng decoder na wala naman.

Ano ang susubukan habang nagbo-boot pa ang lumang system

Kung nagsisimula pa ang install, i-export ang mga tunnel mula sa client habang naka-sign in bilang account na gumawa sa kanila. Ang export ay gumagawa ng mga ordinaryong configuration file, at doon nagiging naipapasa ang isang backup.

Kung nababasa ang disk ngunit hindi nagbo-boot ang Windows, ang mga protektadong file ay epektibong nawala. Ang mga tool na nangangakong ibabalik ang mga ito ay tumatakbo sa orihinal na konteksto na wala ka na, o hinihiling sa iyong isuko ang blob at ang lumang disk image mo, na isang desisyong dapat pag-isipan.

Itala ang natutuhan mo sa dalawang kaso: ang mga pangalan ng tunnel, ang mga endpoint at ang mga pampublikong key. Ang mga pangalan at endpoint ay nagbibigay-daan sa mabilis na muling pagbuo, at ang mga pampublikong key ay nagbibigay-daan sa kabilang panig na tukuyin kung aling entry ang tatanggalin.

Sa halip, itayo muli mula sa panig ng peer

Para sa peer na kinokontrol mo, gumawa ng bagong key pair at idagdag ang bagong pampublikong key sa listahan ng peer. Para sa corporate o hosted na endpoint, hilingin sa administrator na maglabas ng bagong key at tanggalin ang luma. Ang kahilingang iyon ay kapareho ng gagawin mo pagkatapos ng pagnanakaw, dahil ang nawalang disk ay nangangahulugang ang lumang pribadong key ay dapat ituring na nakalantad.

Pagkatapos ay itayo muli ang tunnel mula sa mga value na itinala mo, at kumpirmahin ang handshake bago ka magbura ng anumang iba pa. Dapat mawala ang lumang entry sa peer sa parehong pagbabago, upang ang nakaw na disk ay hindi na makakonekta muli mamaya.

Ang aral ay nabibilang sa patakaran sa backup, hindi sa tool sa pag-recover. Ang isang configuration ng WireGuard ay isang credential: sinumang may hawak ng pribadong key ay may hawak ng pagkakakilanlan ng peer, at walang pangalawang password sa daan. Alinman sa sadyang i-export ang configuration at itago ito kasama ng iba mong sekreto, o tanggapin na ang pag-recover ay nangangahulugan ng muling paglalabas ng mga key, at itala kung aling pagpipilian ang nalalapat sa bawat tunnel.